Forced TLS und verschlüsselte Verbindungen erklärt
Was ist Forced TLS?
TLS (Transport Layer Security) ist der Sicherheitsstandard, der eine Verbindung verschlüsselt, dieselbe Technik, die das Schloss-Symbol in Ihrem Browser ermöglicht. Bei E-Mail schützt TLS die Verbindung zwischen Mailservern und zwischen Ihrem Gerät und Ihrem Mailserver, sodass der Inhalt unterwegs für jemanden, der die Verbindung abhört, nicht lesbar ist.
Normalerweise ist TLS "opportunistisch": Gelingt die Verschlüsselung, schön; gelingt sie nicht, dann geht die Nachricht manchmal trotzdem unverschlüsselt durch. Forced TLS entfernt diese Hintertür: Gibt es keine gültige verschlüsselte Verbindung, dann wird die E-Mail nicht zugestellt. Sicherheit vor Bequemlichkeit also. Mehr über Verschlüsselung im weiteren Sinne lesen Sie unter verschlüsselte E-Mail: was geht und was nicht.
Warum eine verschlüsselte Verbindung wichtig ist
E-Mail reist standardmäßig über mehrere Server und Netzwerke. Ohne Verschlüsselung ist das wie eine Postkarte: Jeder, der die Karte unterwegs in die Hände bekommt, kann mitlesen. Das ist kein theoretisches Risiko in öffentlichen oder gemeinsam genutzten Netzwerken, in denen sich Datenverkehr relativ einfach abhören lässt. TLS steckt diese Postkarte für den Teil der Reise zwischen den Servern in einen dichten Umschlag.
Für wen mit personenbezogenen Daten arbeitet, ist das kein Detail. Die DSGVO verlangt angemessene technische Maßnahmen bei der Verarbeitung personenbezogener Daten, und eine verschlüsselte Verbindung gehört zu deren Basis. In der Community security.nl fasste es jemand treffend zusammen: Mit Forced TLS ist E-Mail durchaus für grundlegende personenbezogene Daten einsetzbar. Das stimmt als Faustregel, sofern Sie verstehen, was TLS schützt und was nicht. Zur Frage, was genau Sie per E-Mail versenden dürfen, siehe personenbezogene Daten per E-Mail und die DSGVO. Ziehen Sie im Zweifel einen Spezialisten zurate.
Wie es funktioniert
TLS schützt die Verbindung, nicht die gespeicherte Nachricht. So läuft es in der Praxis ab.
- Ihr versendender Server stellt eine Verbindung zum empfangenden Server her und schlägt vor, TLS zu verwenden.
- Beide Server tauschen Zertifikate aus und bauen einen verschlüsselten Tunnel auf.
- Die Nachricht reist durch diesen Tunnel: unterwegs unlesbar für jemanden, der mitschaut.
- Bei Ankunft wird sie wieder entschlüsselt und auf dem Server des Empfängers gespeichert.
Mit Forced TLS kommt eine harte Anforderung hinzu: Gelingt Schritt 2 nicht, dann weigert sich Ihr Server, die Nachricht zu versenden, statt sie ungeschützt weiterzuleiten. Sie tauschen also ein kleines Risiko einer Verzögerung gegen die Gewissheit, dass nichts unverschlüsselt die Tür verlässt.
Beachten Sie, dass die Nachricht auf dem Zielserver einfach lesbar gespeichert wird. TLS schützt ausschließlich die Reise, nicht das Ziel. Wer Zugang zum Postfach selbst hat, sieht den Inhalt; dafür sorgen andere Maßnahmen, wie ein starkes Passwort und Zwei-Faktor-Authentifizierung. Transportverschlüsselung und Zugangssicherung sind also zwei verschiedene Schichten, die Sie beide brauchen.
Wichtig zu verstehen: Dies ist Transportverschlüsselung, keine Ende-zu-Ende-Verschlüsselung. TLS schützt die Nachricht, während sie zwischen Servern unterwegs ist. Auf den Servern selbst liegt die E-Mail lesbar gespeichert, und die empfangende Seite muss TLS ebenfalls unterstützen. Möchten Sie, dass nur der Endempfänger mitlesen kann, dann brauchen Sie eine separate Verschlüsselungsschicht; dieser Unterschied wird unter verschlüsselte E-Mail erklärt.
Die Unterscheidung zwischen "opportunistisch" und "forced" ist in der Praxis am wichtigsten. Opportunistisches TLS versucht zu verschlüsseln, fällt aber bei einem Problem stillschweigend auf unverschlüsselten Verkehr zurück, ohne dass Sie es merken. Genau dieses Zurückfallen kann ein Angreifer provozieren. Forced TLS schließt diesen Ausweg ab: keine gültige gesicherte Verbindung bedeutet keine Zustellung. Sie erhalten also Gewissheit statt "meistens schon in Ordnung".
Worauf Sie achten müssen
- TLS ≠ Ende-zu-Ende. Es schützt die Reise zwischen Servern, nicht die Speicherung danach. Für wirklich vertrauliche Unterlagen kann zusätzliche Verschlüsselung nötig sein.
- Beide Seiten müssen mitmachen. Unterstützt der empfangende Server kein TLS, dann blockiert Forced TLS die Zustellung. Das ist sicher, kann aber die Zustellung verzögern.
- Es regelt keinen Zugang. Verschlüsselung unterwegs sagt nichts darüber aus, wer in das Postfach darf. Kombinieren Sie es daher mit starker Zugangssicherung wie 2FA.
- Zertifikate müssen gültig sein. Ein abgelaufenes oder falsches Zertifikat bricht die verschlüsselte Verbindung.
- Es ist größtenteils Anbietersache. Als Nutzer richten Sie TLS selten selbst ein; es gehört zu einer gut eingerichteten E-Mail-Umgebung.
Eine praktische Abwägung ist die zwischen Sicherheit und Zustellsicherheit. Strenges Forced TLS schützt maximal, kann aber Post an Empfänger ohne TLS blockieren. Für die meiste geschäftliche Korrespondenz ist das kein Problem, da seriöse Parteien TLS unterstützen. Arbeiten Sie mit sensiblen Daten, dann wiegt der Schutz schwerer als die seltene Unannehmlichkeit. Es ist genau eine solche Entscheidung, die Sie einem Anbieter überlassen können, der die Umgebung nach modernen Standards einrichtet.
Und bei Mailflux
Bei Mailflux läuft Ihre E-Mail auf einer Infrastruktur, die nach modernen Standards eingerichtet ist, mit verschlüsselten Verbindungen (TLS) zwischen Ihrem Gerät und unseren Servern und beim Transport von Nachrichten. So bleibt Ihre E-Mail unterwegs geschützt, ohne dass Sie selbst daran basteln müssen.
Sie erhalten professionelle E-Mail auf Ihrer eigenen Domain, gehostet in Europa und DSGVO-konform, mit Machine-Learning-Filterung gegen Spam, Phishing und Malware, standardmäßig Antivirus, Antispam und Antimalware, automatischen Backups und optional Zwei-Faktor-Authentifizierung. Ein klarer Preis pro Postfach, jährlich abgerechnet, mit sauber gepflegter Sicherheitsbasis.
FAQ
Häufig gestellte Fragen
Ist Forced TLS dasselbe wie Ende-zu-Ende-Verschlüsselung?
Nein. Forced TLS verschlüsselt die Verbindung, über die Ihre E-Mail reist, sodass niemand unterwegs mitlesen kann. Ende-zu-Ende-Verschlüsselung verschlüsselt den Inhalt selbst, sodass nur der Endempfänger ihn lesen kann, auch auf dem Server. TLS ist Transportsicherheit; für die allersensibelsten Inhalte ist eine zusätzliche Schicht nötig.
Ist E-Mail mit Forced TLS sicher genug für personenbezogene Daten?
Für grundlegende personenbezogene Daten ist eine verschlüsselte Verbindung eine wichtige Basismaßnahme. Die DSGVO verlangt angemessene Sicherheit, und das hängt von der Sensibilität der Daten ab. Für besondere Kategorien, wie Gesundheitsdaten, kann mehr nötig sein. Ziehen Sie im Zweifel einen Spezialisten zurate.
Muss ich Forced TLS selbst einrichten?
Meist nicht als Nutzer. TLS und dessen Erzwingung gehören zu einer gut eingerichteten E-Mail-Umgebung und werden von Ihrem Anbieter verwaltet. Sie merken in der Praxis wenig davon, außer dass Ihre Nachrichten nur über gesicherte Verbindungen versendet und empfangen werden.